L'IA est déjà dans votre entreprise. Si vous n'avez pas de garantie, vous êtes à la traîne

L'IA est déjà entrée dans votre organisation, que vous l'ayez officiellement adoptée ou non. Les employés utilisent le ChatGPT pour rédiger des documents, téléchargent potentiellement des informations sensibles dans des outils en ligne pour une analyse plus rapide, et s'appuient sur des outils génératifs pour tout accélérer, de la production de code à l'assistance à la clientèle. L'IA évolue avec ou sans votre approbation, et cette réalité devrait préoccuper tous les responsables de la sécurité de l'information.

Cette diffusion silencieuse d'outils d'IA non validés dans tous les départements a donné naissance à une couche d'informatique parallèle en pleine expansion. Elle est décentralisée, souvent indétectable et truffée de vulnérabilités. Les répercussions - qui vont des atteintes à la conformité et des fuites de données aux prises de décisions intraçables - sont importantes. Néanmoins, de nombreuses organisations pensent encore qu'elles peuvent la contenir par des politiques ou des pare-feu.

En réalité, l'IA ne peut pas être arrêtée ; elle peut seulement être sécurisée. Plus vite les entreprises le reconnaîtront, plus vite elles pourront combler les lacunes de sécurité que l'IA a déjà créées.

L'IA fantôme est un angle mort de sécurité croissant au sein des organisations

Nous avons déjà été témoins de ce scénario. La première vague d'adoption du cloud au début des années 2010 a suivi une trajectoire similaire : les équipes ont adopté des outils qui amélioraient leur productivité, en contournant souvent les protocoles de sécurité. De nombreuses équipes de sécurité ont tenté de résister, mais se sont retrouvées après coup à faire des pieds et des mains pour contenir les brèches, les mauvaises configurations et les problèmes de conformité.

Aujourd'hui, la même tendance se répète avec l'IA. Notre rapport 2024 State of AI Security Report indique que plus de la moitié des organisations utilisent l'IA pour créer des applications personnalisées, mais peu d'entre elles ont une visibilité claire sur l'endroit où ces modèles sont hébergés, sur la façon dont ils sont configurés ou sur la question de savoir s'ils compromettent des données sensibles.

Cette situation présente deux risques majeurs :

1. Les employés qui utilisent des outils d'IA publics avec des données propriétaires ou sensibles, exposant ces informations à des systèmes externes sans surveillance appropriée.
2. Les équipes internes qui déploient des modèles d'IA sans contrôles de sécurité suffisants, ce qui entraîne des faiblesses exploitables et des pratiques susceptibles d'échouer aux audits de conformité.

L'IA fantôme n'est pas seulement un problème de sécurité ; elle peut dégénérer en crise de gouvernance. Sans visibilité sur l'utilisation de l'IA, vous ne pouvez pas gérer les processus de formation, l'accès aux données ou la génération de résultats. L'absence de suivi des décisions prises par l'IA signifie que vous ne pouvez pas les expliquer ou les défendre, ce qui rend votre organisation vulnérable aux menaces réglementaires, réputationnelles et opérationnelles.

Pourquoi les outils de sécurité conventionnels sont inadaptés

La plupart des solutions de sécurité n'ont pas été conçues pour relever les défis spécifiques à l'IA. Elles ne peuvent pas identifier les artefacts des modèles, analyser les chemins de données de l'IA, surveiller les interactions des grands modèles de langage (LLM) ou mettre en œuvre la gouvernance des modèles. Même les outils spécialisés ont tendance à ne traiter que des aspects isolés, ce qui oblige les entreprises à gérer des solutions fragmentées sans perspective de sécurité unifiée.

Il s'agit là d'un problème crucial. La sécurité de l'IA ne peut pas être un ajout ou une réflexion après coup. Elle doit être intégrée à votre stratégie de gestion du cloud, à vos protocoles de protection des données et à vos flux de travail DevSecOps. Si vous ne le faites pas, vous sous-estimez le rôle croissant de l'IA dans vos opérations et vous ratez l'occasion de la sécuriser en tant qu'infrastructure fondamentale de l'entreprise.

La stratégie erronée de blocage de l'IA doit être abandonnée

Il peut sembler simple d'imposer des interdictions radicales par le biais de politiques telles que "pas d'outils d'IA tiers" ou "pas d'expérimentation d'IA en interne". Cependant, cette approche n'est pas réaliste. Les employés utilisent déjà l'IA pour améliorer leur productivité, non pas avec des intentions malveillantes, mais parce qu'elle donne des résultats.

L'IA agit comme un stimulant de la productivité et les gens continueront à l'utiliser tant qu'elle les aidera à respecter les délais, à réduire les tâches répétitives et à résoudre les problèmes efficacement.

Tenter de bloquer complètement l'utilisation de l'IA ne l'éliminera pas ; cela ne fera que la repousser encore plus loin dans la clandestinité. Lorsque des problèmes surviendront, vous y serez confronté sans visibilité, sans politiques établies et sans plan de réponse.

Adopter l'IA avec stratégie, sécurité et visibilité

Une approche plus intelligente consiste à adopter l'IA de manière proactive et selon ses propres termes, en se concentrant sur trois domaines clés :

1. Fournir aux employés des alternatives sûres et approuvées. Pour réduire la dépendance à l'égard des outils risqués, proposez des options sûres. Qu'il s'agisse de LLM internes, d'applications tierces approuvées ou d'assistants d'IA intégrés dans les plateformes principales, l'objectif est de fournir des outils tout aussi efficaces, mais nettement plus sûrs.

2. Établir et appliquer des politiques claires. La gouvernance de l'IA doit être précise, pratique et facile à mettre en œuvre. Définissez les données qui peuvent être partagées avec les outils d'IA, établissez des limites claires et attribuez la responsabilité de l'examen et de l'approbation des initiatives internes en matière d'IA. Communiquez largement sur ces politiques et veillez à ce que les mesures d'application techniques et procédurales soient opérationnelles.

3. Donner la priorité à la visibilité et à la surveillance. Vous ne pouvez pas sécuriser ce que vous ne pouvez pas voir. Mettez en œuvre des outils capables de détecter l'utilisation de l'IA fantôme, d'identifier les clés d'accès exposées, de signaler les modèles mal configurés et de surveiller les fuites de données sensibles dans les ensembles de données d'entraînement ou les résultats. La gestion de la posture de l'IA devient rapidement aussi essentielle que la gestion de la posture de sécurité du cloud.

Les RSSI doivent guider cette transformation

Il s'agit d'un moment charnière pour le leadership en matière de sécurité. Le rôle du RSSI s'étend au-delà de la protection de l'infrastructure pour inclure l'activation de l'innovation en toute sécurité. Cela signifie qu'il faut aider l'organisation à tirer parti de l'IA pour gagner en rapidité et en efficacité, tout en veillant à ce que la sécurité, la confidentialité et la conformité fassent partie intégrante de chaque étape.

Ce leadership implique :

• Sensibiliser les membres du conseil d'administration et les dirigeants aux risques réels et perçus de l'IA.
• Travailler en partenariat avec les équipes d'ingénierie et de produits pour intégrer la sécurité dès le début des cycles de déploiement de l'IA.
• Investir dans des outils contemporains conçus pour la sécurité des systèmes d'IA
• Favoriser une culture où l'utilisation responsable de l'IA est une responsabilité partagée.

Les RSSI n'ont pas besoin d'être des spécialistes de l'IA, mais ils doivent poser des questions essentielles : Quels modèles utilisons-nous ? Quelles données les alimentent ? Quelles sont les mesures de protection mises en œuvre ? Pouvons-nous vérifier notre position en matière de sécurité ?

L'essentiel à retenir : L'inaction présente le plus grand risque

L'IA est déjà en train de remodeler les opérations commerciales. Qu'il s'agisse de faciliter des réponses plus rapides au service client, d'améliorer les prévisions financières ou d'accélérer les flux de travail de développement, l'IA est profondément intégrée dans les tâches quotidiennes. Nier cette réalité ne ralentira pas l'adoption de l'IA ; cela ne fera qu'accroître les vulnérabilités, l'exposition des données et les manquements à la conformité.

L'approche la plus dangereuse consiste à ne rien faire. Les RSSI et les responsables de la sécurité doivent reconnaître l'indéniable : L'IA est présente dans vos systèmes et vos flux de travail, et elle est là pour rester. La question cruciale est de savoir si vous la sécuriserez de manière proactive ou si vous attendrez qu'elle cause des dommages irréversibles.

Adoptez l'IA, mais toujours avec une approche axée sur la sécurité. C'est la seule façon de se préparer à l'avenir.